APT: Advanced Persistent Threat.

Minacce globali col mantello dell’invisibilità.

L’ articolo che stai per leggere, ha un obiettivo informativo: fare luce sul fenomeno degli APT, acronimo di Advanced Persistent Threat.

Il termine APT venne utilizzato per la prima volta nel 2006 dal Dipartimento della Difesa degli Stati Uniti per descrivere una serie di attacchi informatici super sofisticati, riconducibili a campagne di spionaggio metodiche e persistenti.

Secondo il NIST SP 800-39, gli APT possono essere definiti come:

“an adversary with sophisticated levels of expertise and significant resources, allowing it through the use of multiple different attack vectors (e.g., cyber, physical, and deception), to generate opportunities to achieve its objectives which are typically to establish and extend its presence within the information technology infrastructure of organizations for purposes of continually exfiltrating information and/or to undermine or impede critical aspects of a mission, program, or organization, or place itself in a position to do so in the future; moreover, the advanced persistent threat pursues its objectives repeatedly over an extended period of time, adapting to a defender’s efforts to resist it, and with determination to maintain the level of interaction needed to execute its objectives”.¹⁾

Ma cosa sono gli Advanced Persistent Threats?

Sono una particolare categoria di threat actors, caratterizzati da un maggior livello di sofisticazione, struttura e persistenza molto superiore rispetto ad altre minacce informatiche.

Progettati per compromettere sistemi informatici e raccogliere informazioni sensibili su larga scala, tra le loro abilità ci sono:

• la conduzione di attività distruttive a danno di infrastrutture critiche.
• la compromissione di sistemi informatici e l’ottenimento di accessi non autorizzati.

Chi si cela dietro agli APT?

Gli APT vengono associati agli enti governativi nella maggior parte dei casi. O meglio, ne fanno parte tutte quelle attività criminali organizzate che dispongono di somme di denaro elevate, tecnologie avanzate e capacità operative di un certo livello.

È possibile dividere questa categoria in tre macro-gruppi:

1. i gruppi statali sponsorizzati dai governi si concentrano su spionaggio, sabotaggio e disinformazione;
2. i syndicates criminali cercano profitto tramite il furto di dati o di denaro;
3. hacktivisti, terroristi e specialisti nello spionaggio aziendale che si fanno paladini di motivazioni ideologiche.

Quali sono le metodologie e gli attacchi usati dagli APT?

Gli attacchi perpetrati dagli Advanced Persistent Threats sono di natura non occasionale. Si tratta di operazioni pianificate nei minimi dettagli, caratterizzate da uno studio approfondito del bersaglio, dove nulla è lasciato al caso.

Ogni attacco APT è preceduto da estensive fasi di reconnaissance e footprinting. Tecniche sia manuali sia automatizzate che consentono di compromettere un elevato numero di dispositivi, inclusi computer e smartphone.

Sono di dimensioni enormi le infrastrutture usate dagli APT per mettere a segno i propri attacchi.

Un esempio? Le unità di intelligence di Mandiant, dal 2010 al 2013, hanno rivelato che APT1 [uno dei gruppi APT associati al governo cinese] si appoggiava su di una infrastruttura composta da oltre 900 server. Inoltre, in due anni di osservazione, sono state confermate 1905 connessioni desktop collegate da remoto sul territorio statunitense.

Breve nota tecnica: Mandiant ha potuto analizzare e confermare queste attività grazie alle caratteristiche intrinseche del protocollo RDP, il quale, per migliorare l’esperienza utente, richiede al client di inviare alcune informazioni come l’hostname e il layout di tastiera utilizzato.

Tra queste 1905 connessioni, è emerso che il layout di tastiera era impostato su “cinese semplificato” (zh-tw), un elemento che ha lasciato pochi dubbi sull’origine degli attaccanti.

È importante riconoscere le differenze tra un attacco progettato da un gruppo APT e un attacco messo appunto da un gruppo RaaS: le caratteristiche sono completamente diverse.

Inoltre, come sottolinea il Defense Science Board: “gli attori di livello superiore useranno i metodi e le tecniche al livello più basso necessario per raggiungere i loro obiettivi… per evitare di esporre le loro tecniche più sofisticate” e, in secondo luogo, “gli Stati potrebbero impiegare attori non statali come delegati (proxy). In tali situazioni, le organizzazioni di livello intermedio ottengono l’accesso a capacità di livello superiore”.^2)”

Quindi, risulta evidente che fra i dogmi che regolano le attività degli APT, è fondamentale essere capaci di rimanere “nascosti” e divulgare le tecniche utilizzate per portare a termine gli attacchi il meno possibile.

NB: Chi ha interesse ad approfondire il report di Mandiant, può scriverci nei commenti. In breve tempo, invieremo il report a ogni persona interessata.

Da dove provengono i principali gruppi di APT?

Prima di rispondere a questa domanda, è importante fare una premessa: l’attribuzione geografica dei gruppi APT è influenzata da un significativo bias analitico. Gli studi ufficiali tendono a concentrarsi su contesti medio-orientali e asiatici, ovvero su aree geopolitiche percepite come opposte o antagoniste ai nostri interessi, poiché, in quanto parte dell’Unione Europea, siamo generalmente allineati con politiche ed economie occidentali.

È una sfida complessa identificare in modo inequivocabile il legame tra un gruppo APT e un governo specifico. La natura sfuggente e occulta di queste organizzazioni rende difficile stabilire connessioni certe. Difatti, Mandiant, tra le principali aziende del settore Sicurezza Informatica, ha ammesso di essere riluttante alla divulgazione di informazioni riguardanti APT1, poiché teme di ispirare l’ingegno dei threat actors con l’uso di nuove metodologie.

Inoltre, è importante sottolineare che un Advanced Persistent Threat può avere legami con un governo, ma questi non sono sempre esclusivi o unidirezionali. In diversi casi, l’APT agisce in completa autonomia e si trasforma in un vero e proprio “fornitore” di servizi per il governo di riferimento. Un esempio significativo è Pegasus: il software di sorveglianza sviluppato dall’israeliana NSO Group e venduto ai governi di vari Paesi.

Cina, Russia, Iran e Corea del Nord si giocano la vittoria per la categoria “Gruppi APT più attivi e rilevanti a livello nel mondo. È un’informazione presente e indicata nel database MITRE.

La Cina si distingue come il principale attore in questo panorama, con quasi la metà degli attacchi sponsorizzati da Stati attribuiti a entità cinesi. Questi gruppi prendono spesso di mira gli Stati Uniti, con l’obiettivo di sottrarre proprietà intellettuali e raccogliere informazioni strategiche. Altri paesi, tra cui Iran e Russia, puntano invece a destabilizzare o influenzare gli equilibri geopolitici.

La Corea del Nord si distingue per la progettazione di attacchi mirati che puntano al furto finanziario e all’autofinanziamento del regime, oltre ad attività di spionaggio.

I gruppi ATP occidentali sembrano non pervenuti, ci sono pochissime informazioni su di loro. Nonostante le rivelazioni di Edward Snowden abbiano mostrato la portata delle operazioni cibernetiche condotte da Stati Uniti ed Europa, gli attori occidentali ricevono molta meno attenzione mediatica rispetto ai loro omologhi asiatici o mediorientali. Uno squilibrio che riflette in modo chiaro il bias di osservazione di cui abbiamo scritto qualche riga più in su.

Evoluzione degli attacchi.

Gli attacchi condotti dai gruppi APT sono stati analizzati per conoscere la loro evoluzione.

Negli ultimi anni si evidenzia una tendenza piuttosto inquietante. Dal 2016 a oggi, è triplicato il numero di operazioni cyber su larga scala attribuite ufficialmente a questi gruppi. La Cina, in particolare, ha registrato un aumento significativo ed è passata da 5 operazioni riconosciute nel 2016 a ben 27 nel 2020.

Al 2022, la distribuzione delle operazioni attribuite ai principali attori si presenta così:

• Russia: 37.
• Cina: 32.
• Corea del Nord: 14.
• Iran: 13.

Questo aumento non è dovuto solo a una crescita delle attività malevole, ma anche a una maggiore capacità di rilevare indicatori di compromissione (IOC) e a un’espansione delle attività di intelligence.

In parte, l’incremento è il risultato di un cambio di prospettiva da parte dei governi occidentali, un processo accelerato da eventi significativi come l’attacco alla rete elettrica ucraina nel 2015, condotto con il malware BlackEnergy3. Un momento fondamentale si è avuto nel 2016, quando Jens Stoltenberg, allora Segretario Generale della NATO, annunciò il riconoscimento del cyberspazio come dominio operativo al pari di aria, mare e terra:

“We also turned our attention to cyberspace. We agreed that we will recognise cyberspace as an operational domain. Just like air, sea and land. Cyber defence is part of collective defence. Most crises and conflicts today have a cyber dimension. So treating cyber as an operational domain would enable us to better protect our missions and operations.”

La maggiore attenzione da parte delle istituzioni governative occidentali ha portato a un significativo incremento delle informazioni sulle attività di spionaggio condotte dai gruppi APT. Organizzazioni come Mandiant, Mitre e Recorded Future hanno contribuito in modo determinante a fornire un quadro strutturato sugli APT, nonché sulle tecniche e tattiche da loro utilizzate negli attacchi.

Le sfide di attribuzione.

È un compito complesso, attribuire un attacco a un gruppo APT specifico. Spesso, gli attaccanti adottano tattiche di depistaggio che influenzano responsabilità e attribuzioni di attacco. Difatti, i falsi indizi o l’imitazione di metodi usati da altri gruppi, complicano il lavoro dei ricercatori. Così, per ridurre le ambiguità, molte organizzazioni usano nomenclature specifiche per l’identificazione dei gruppi:

• APT + numero (es. APT28) per attori noti.
• Designazioni come FIN (finanziari), TEMP (transitori) o UNC (non classificati).
• Termini simbolici come animali, fenomeni naturali (Fancy Bear / Pawn Storm).

Attribuire un attacco a un gruppo APT specifico, rappresenta una delle sfide più complesse nel campo della cybersecurity. Ciò è dovuto all’elevata sofisticazione delle tecniche adottate dai cybercriminali per mascherare la propria identità e origine.

Tecniche di mascheramento.

Spesso, per fuorviare i ricercatori, gli APT adottano tattiche di false flag. Utilizzano metodi, infrastrutture o linguaggi che imitano quelli di altri gruppi noti. Così da disseminare errori, dubbi e conclusioni errate riguardo alla provenienza e all’identità degli attaccanti.

Quanto dura e quanto è complesso un attacco APT?

Gli attacchi APT si caratterizzano per la loro durata prolungata e la complessità. Possono estendersi per mesi, persino anni, coinvolgendo una molteplicità di vettori di attacco e fasi distinte. Rintracciare l’intero ciclo vitale di un attacco, dall’iniziale compromissione del sistema all’esfiltrazione dei dati sensibili, rappresenta una sfida notevole, richiedendo risorse e competenze specializzate.

Un caso emblematico è rappresentato dal gruppo cinese APT1, il cui periodo di persistenza più lungo documentato da Mandiant è stato di ben 1764 giorni, ovvero quasi cinque anni. Questo dato sottolinea l’estrema pazienza e determinazione degli attori che perpetrano questa tipologia di attacchi mirati.

I gruppi APT si sovrappongono.

La complessità degli attacchi APT è amplificata dalla loro natura collaborativa. Gruppi diversi condividono spesso strumenti, exploit e infrastrutture. Ciò rende difficile l’attribuzione di un attacco specifico. Inoltre, la natura nascosta e difficilmente osservabile aggiunge un ulteriore livello di difficoltà a quello che viene chiamato “il fenomeno dell’initial access brokering”, metodo con cui vengono venduti gli accessi ai sistemi compromessi.

Gli attacchi sponsorizzati dagli Stati nazionali sono ancora più difficili da attribuire, ciò è dovuto all’utilizzo di risorse statali capaci di coprire le tracce e all’impiego di reti proxy o contractor. Le differenze presenti nelle normative dei Paesi coinvolti, unite all’uso sofisticato di tecniche di offuscamento, rendono l’analisi forense un’impresa ardua.

Limitazioni tecnologiche e di informazioni.

L’attribuzione si basa su dati di intelligence, come log di rete, analisi di malware e tracce digitali. Ma, queste prove risultano spesso incomplete, alterate o inaccessibili a chi non dispone di risorse governative o strumenti avanzati di intelligence.

Nei penetration test condotti dagli ethical hacker, la fase di covering tracks riveste un ruolo importantissimo. Coprire le tracce è uno step essenziale nei test di simulazione perché rappresenta una delle fasi principali di ogni attacco reale. La capacità di eliminare o manipolare eventuali tracce diventa quindi fondamentale sia per gli ethical hacker sia per i cybercriminali. Gli APT, in particolare, mirano a ridurre al minimo le tracce lasciate, in questo modo possono creare false prove per depistare le indagini internazionali.

Quali sono le conseguenze politiche?

Attribuire un attacco a un’entità specifica può generare conseguenze diplomatiche rilevanti, soprattutto quando coinvolge Stati. Le autorità ufficiali, infatti, possono mostrarsi contrarie a formulare attribuzioni dirette per evitare di aggravare le tensioni internazionali già in essere.

Non è raro che i gruppi APT siano non solo allineati sul piano politico e ideologico con il governo del Paese in cui operano, ma che siano vere e proprie estensioni del governo stesso o delle forze armate.

Come evidenziato nel report di Mandiant su APT1:

“APT1 is believed to be the 2nd Bureau of the People’s Liberation Army (PLA) General Staff Department’s (GSD) 3rd Department, which is most commonly known by its Military Unit Cover Designator (MUCD), as unit 61398.”.

Incertezza intrinseca.

In molti casi, anche dopo un’analisi approfondita, l’attribuzione resta probabilistica invece che definitiva, con gradi di certezza variabili. I threat actor sfruttano questa incertezza per agire senza ostacoli.

Perché la threat intelligence è essenziale?

La threat intelligence rappresenta quella parte della sicurezza informatica che studia e analizza i threat actor a livello globale. Ho affrontato questo tema in diversi post e webinar e ho sempre sottolineato l’importanza della condivisione costante di informazioni per contrastare quelle che potrebbero diventare minacce avanzate. Descrivere le tecniche e le tattiche utilizzate, mantenere aggiornate le informazioni e scambiare gli IOC (indicator of compromise) sono attività basilari per chi lavora ogni giorno alla difesa delle nostre infrastrutture e dei nostri dati.

L’uso di framework condivisi, come MITRE ATT&CK, l’adozione di collaborazioni internazionali e l’impiego di intelligenza artificiale e machine learning per analizzare i dati, ci hanno permesso di affinare notevolmente le tecniche di identificazione e attribuzione degli attacchi da parte di queste entità.

Come difendersi dagli APT?

Non ci troviamo di fronte a “semplici” gruppi ransomware (che, peraltro, non sono affatto banali), ma spesso a vere task force offensive, dotate di competenze avanzate e sistemi all’avanguardia. Difendersi da minacce di questo tipo è una sfida impossibile per singole aziende o organizzazioni.

Gli APT prendono di mira individui e realtà note e di valore. E sfruttano le loro vulnerabilità tecnologiche e umane. Per difendersi da queste minacce è necessario applicare un approccio strutturato e multilivello:

• adozione di software di sicurezza avanzati;
• formazione del personale per riconoscere i tentativi di phishing e altre tecniche di ingegneria sociale;
• aggiornamento continuo delle informazioni di intelligence;
• protocolli per la condivisione sicura delle informazioni;
• unità di risposta organizzate a livello nazionale e internazionale;
• definizione e adozione di framework normativi condivisi a livello globale.

Ma non basta. C’è bisogno di eseguire test regolari dei sistemi difensivi attraverso:

• Penetration Test.
• Red Teaming.
• Simulazioni di attacchi (adversary emulation).
• Piani di risposta agli incidenti (incident response plans).
• Esercitazioni strategiche (tabletop exercises).

Un’efficace difesa contro gli APT non si basa solo sulla tecnologia, ma richiede collaborazione, preparazione e una costante attenzione all’evoluzione delle minacce.

La normativa NIS2 rappresenta un passo decisivo in questa direzione, ponendo solide basi per contrastare minacce avanzate. Promuove la creazione di entità sinergiche dedicate alla prevenzione e alla condivisione delle informazioni a livello internazionale, favorendo un approccio coordinato e globale.

Un errore comune, spesso commesso da aziende di ogni dimensione, è pensare che sia sufficiente un software di protezione o che la propria realtà non sia un bersaglio “abbastanza grande” da destare interesse. Tuttavia, gli APT operano con metodologie degne dei servizi segreti più sofisticati, combinando strategie non convenzionali e un pensiero laterale per raggiungere i loro obiettivi senza scrupoli.

La sicurezza, quindi, non può essere considerata un elemento isolato, ma deve essere vista come un tessuto in cui ogni nodo è interconnesso. La protezione di tutti dipende anche dalla sicurezza dei singoli. Come utenti, siamo il primo anello della catena e il nostro impegno contribuisce alla resilienza collettiva.

Grazie per l’attenzione.

Alessandro Paviotti

Fonti:

• 1) https://doi.org/10.6028/NIST.SP.800-39
• 2) US Defense Science Board, Resilient Military Systems and the Advanced Cyber Threat (2013)
• 3) https://www.cybersecurity360.it/nuove-minacce/blackenergy-il-malware-usato-per-colpire-i-sistemi-industriale-dettagli-ed-evoluzione/
• 4)  https://www.nato.int/cps/en/natohq/opinions_132349.htm?selectedLocale=en
• 5) https://www.mandiant.com/sites/default/files/2021-09/mandiant-apt1-report.pdf